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(57) Abstract: The invention relates to a control unit for activating an occupant protection means in a motor vehicle and to a method 
for monitoring the proper functioning of a control unit preferably of this type. To this end, the control unit comprises a first and 
a second arithmetic unit (Rl, R2) as well as an activating unit (AE). A number of logical AND gates (AND1 AND2- AND3) are 
connected on the input side to the clock signals (clkl, clk2, clk3) of the arithmetic units (Rl, R2) respectively assigned 'thereto or to 
the activating unit (AE). The signal output of each logical AND gate (AND1, AND2; AND3) is fed to a respectively assigned pulse 
count company unit . (PZVE1, PZVE2) whose respective signal output is, in turn, connected to an input of a respectively assigned 
resetter RES1, RES2). A resetter (RES1, RES2) of each arithmetic unit (Rl, R2) always resets the respective other arithmetic unit 
(Rl, R2) when the pulse count comparator unit (PZVE1, PZVE2) respectively assigned thereto detects an inadmissible number of 
pulses per unit of time in the output signal (clkl3, clk23, clk23) of the respective AND gate (AND1, AND2; AND3). 

[Fortsetzung auf der ndchsten Seite] 
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(57) Zusammenfassung: Die Erfindung betrifft eine Steuereinheit zur Auslosung eines Insassenschutzmittels in einem Kraftfahr- 
zeug und ein Verfahren zur Uberwachung der ordnungsgemaBen Funktion einer vorzugsweise solchen Steuereinheit. Die Steuer- 
einheit umfasst dabei eine erste und eine zweite Recheneinheit (Rl, R2) sowie eine Ausloseeinheit (AE). Mehrere logische UND - 
Gatter (AND1, AND2; AND3) sind eingangsseitig mit den Taktsignalen (clkl, clk2, clk3) der ihnen jeweils zugeordneten Rechen- 
einheiten (Rl, R2) bzw. der Ausloseeinheit (AE) verbunden. Der Signalausgang jeweils eines logischen UND - Gatters (AND1, 
AND2; AND3) wird einer jeweils zugeordneten Pulszahlvergleichereinheit (PZVE1, PZVE2) zugefuhrt, deren jeweiliger Signal- 
ausgang wiederum einem Eingang eines jeweils zugeordneten Rucksetzers (RES1, RES2). Ein Rucksetzer (RES1, RES2) jeweils 
einer Recheneinheit (Rl, R2) setzt die jeweils andere Recheneinheit (Rl, R2) immerdann zuriick, wenn die ihm jeweils zugeordnete 
Pulszahlvergleichereinheit (PZVE1, PZVE2) eine unzulassige Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal (clkl3, clk23, 
clk23) des jeweiligen UND - Gatters (AND1, AND2; AND3) erkennt. 
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Beschreibung 

Steuereinheit zur Auslosung eines Insassenschutzmittels in 
einem Kraf tf ahrzeug und Verfahren zur Uberwachung der ord- 
5 nungsgemaften Funktion einer vorzugsweise solchen Steuerein- 
heit 

Die Erfindung betrifft eine Steuereinheit zur Auslosung eines 
Insassenschutzmittels in einem Kraf tf ahrzeug und ein Verfah- 

10 ren zur Oberwachurig der ordnungsgemafien Funktion einer vor- 
zugsweise solchen Steuereinheit. Die Steuereinheit umfasst 
dabei eine erste Recheneinheit , eine zweite Recheneinheit und 
eine Ausloseeinheit , die jeweils asynchron zueinander getak- 
tet sind. Des Weiteren umfasst die Steuereinheit ein erstes 

15 und ein zweites logisches UND - Gatter. Die erste und die 

zweite Recheneinheit umfassen jeweils eine Pulszahlverglei- 
chereinheit und einen Riicksetzer. 

Jeweils einem logischen UND - Gatter ist eingangsseitig das 
20 Taktsignal der ihm jeweils zugeordneten Recheneinheit zuge- 

fiihrt und des Weiteren das Taktsignal der Ausloseeinheit . Der 
Signalausgang jeweils eines logischen UND - Gatters wird dem 
Eingang der Pulszahlvergleichereinheit jeweils einer Rechen- 
einheit zugefuhrt und der Ausgang der Pulszahlvergleicherein- 
25 heit dem Eingang des jeweils zugehorigen Rucksetzers einer 
Recheneinheit . 

Der Riicksetzer jeder Recheneinheit ist mit dem Reseteingang 
der jeweils anderen Recheneinheit verbunden, so dass der zu- 
30 gehorige Riicksetzer die jeweils andere Recheneinheit dann zu- 
riicksetzt, wenn die zugehorige Pulszahlvergleichereinheit ei- 
ne unzulassige Anzahl von Pulsen pro Zeiteinheit im Ausgangs- 
signal des jeweils mit ihr verbundenen UND - Gatters erkennt . 

35 Es ist Stand der Technik, mithilfe von Schaltungen Funktions- 
ablaufe in Recheneinheiten zu uberwachen und bei erkannten 
Fehlern in den Funktionsablauf en die fehlerhaften Rechenein- 
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heiten zurttckzusetzen. In den Druckschrif ten DE 100 56 408 
CI, DE 100 30 991 Al, DE 100 49 440 Al und DE 40 39 355 Al 
wird hierzu eine sogenannte watchdog-Schaltung verwendet, die 
die von der Recheneinheit ausgesendeten Impulse hinsichtlich 
ihrer Impulslange, Pausenlange oder der Anzahl der Impulse 
pro Zeiteinheit auswertet . 

In vielen Ansteuerungssystemen wird heutzutage neben einer 
ersten Recheneinheit eine zweite Recheneinheit vorgesehen. 
Die zweite Recheneinheit dient dabei zumeist als Sicherheits- 
recheneinheit der Oberwachung der ordnungsgema/Jen Funktions- 
weise der ersten Recheneinheit und gegebenenfalls, bei deren 
Ausfall, einer zumindest teilweisen Obernahme der Rechen- und 
Ansteuerfunktionen der ersten Recheneinheit. 

Besonders wichtig ist der Einsatz solcher Sicherheitsrechen- 
einheiten in Verbindung mit einer ersten Hauptrecheneinheit 
bei Ansteuerungssystemen, deren Ausfall zumindest die Gefahr 
einer Verletzung von Personen mit sich bringen wtirde. Ein 
solches sicherheitsrelevantes Ansteuerungssystem ist bei- 
spielsweise die Steuereinheit zur Ansteuerung eines Insassen- 
schutzmittels in einem Kraftfahrzeug. Dort berechnet die 
Hauptrecheneinheit den Zundzeitpunkt fur die Auslosung des 
geeigneten Insassenschutzmittels, das im Falle eines Auf- 
prallunfalls einem Fahrzeuginsassen den bestmoglichen Schutz 
vor Verletzungen bietet. Im Anschluss an die Berechnung des 
besten Zundzeitpunktes gibt die Hauptrecheneinheit die Aus ld- 
sung des geeigneten Insassenschutzmittels, beispielsweise ei- 
nes Fahrerairbags, frei. 

Schon bei einem nur teilweisen Ausfall der Rechenleistung der 
Hauptrecheneinheit kann eine rechtzeitige Auslosung des ge- 
eigneten Insassenschutzmittels durch die Steuereinheit nicht 
mehr gewahrleistet werden. Aus diesem Grund muss die ent- 
scheidende Funktionalitat der ersten Recheneinheit durch die 
zweite Recheneinheit, die Sicherheitsrecheneinheit, ubernom- 
men werden. Dazu muss die Sicherheitsrecheneinheit zunachst 
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eine mogliche Fehlfunktion der ersten Recheneinheit erkennen, 
um in einem zweiten Schritt die erste Recheneinheit zuruckzu- 
setzen oder sogar vollstandig abzuschalten und gegebenenf alls 
die Aufgaben der ersten Recheneinheit zumindest teilweise zu 
ubernehmen . 



Ein solches Zwei-Rechner-System in einer sicherheitsrelevan- 
ten Anwendung in einem Kraftf ahrzeug ist beispielsweise in 
der deutschen Of fenlegungsschrif t DE 37 00 98 6 Al beschrie- 
ben. Die dort gezeigten Prozessoren ttberwachen sich gleichbe- 
rechtigt. Dabei gibt jeweils eine Recheneinheit ein watchdog 
- Signal 33, 37 aus, das in der jeweils anderen Recheneinheit 
durch eine watchdog - Erkennung 14, 22 iiberprttft wird. Emp- 
fangt die jeweils eine Recheneinheit von der jeweils anderen 
Recheneinheit ein fehlerhaftes watchdog - Signal 33, 35 so 
gibt die jeweils ordnungsgemafi arbeitende Recheneinheit ein 
Reset-Signal 40, 36 an die fehlerhafte andere Recheneinheit 
aus . 



Ahnliche Ansteuerungssysteme mit je zwei Recheneinheiten in 
sicherheitskritischer Anwendung in Kraf tfahrzeugen sind auch 
aus den Druckschrif ten DE 101 51 012 Al und DE 40 04 709 C2 
bekannt, wobei auch hier die gegenseitige Uberwachung der 
zwei Recheneinheiten mithilfe je einer watchdog-Erkennung in 
jeder Recheneinheit erf olgt . 

Die gegenseitige Uberwachung der korrekten Funktionsweise von 
Recheneinheiten durch eine solche watchdog - Schaltung ist 
jedoch oftmals nur sehr langsara. Gerade bei Insassenschutz- 
systemen ist es jedoch sehr wichtig, eine Fehlfunktion einer 
Recheneinheit innerhalb einer Steuereinheit eines Insassen- 
schutzsystems sehr schnell und zuverlassig zu erkennen, um 
unverzuglich Mafinahmen zur Begrenzung mSglicher Gefahren fur 
einen Fahrzeuginsassen einleiten zu kdnnen. 

Die Aufgabe der vorliegenden Erfindung ist es deshalb, die 
notwendigen technischen Voraussetzungen zu schaffen, um eine 
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sehr schnelle Erkennung der Fehlfunktion mindestens einer Re- 
cheneinheit innerhalb einer Steuereinheit eines Insassen- 
s chut zmitt els fur ein Kraftf ahrzeug zu schaffen. 

Die Aufgabe wird gelSst durch eine Steuereinheit gemaft An- 
spruch 1 . 

Die erfindungsgemafle Steuereinheit weist neben der Hauptre- 
cheneinheit, der ersten Recheneinheit, auch eine Sicherheits- 
recheneinheit, die zweite Recheneinheit, auf sowie eine Aus- 
loseeinheit zur AuslSsung des Insassenschutzmittels, bei- 
spielsweise eines Airbags. Die erste Recheneinheit, die zwei- 
te Recheneinheit und die Ausloseeinheit werden durch einen 
internen oder externen Taktgeber jeweils asynchron zueinander 
getaktet . 

Die erste Recheneinheit umfasst eine erste Pulszahlverglei- 
chereinheit und einen ersten Rucksetzer, die zweite Rechen- 
einheit eine zweite Pulszahlvergleichereinheit und einen 
zweiten Rucksetzer. Jeweils zugeordnet zur ersten bzw. zwei- 
ten Recheneinheit weist die Steuereinheit des Weiteren ein 
erstes und ein zweites logisches UND - Gatter auf. 

Dem Eingang des ersten logischen UND - Gatters ist sowohl das 
Taktsignal der ersten Recheneinheit als auch das Taktsignal 
der Ausldseeinheit zugefiihrt, sein Ausgang hingegen ist mit 
dem Eingang der zweiten Pulszahlvergleichereinheit verbunden. 
Der Ausgang der zweiten Pulszahlvergleichereinheit ist mit 
einem Eingang des zweiten Rucksetzers verbunden, dessen Aus- 
gang wiederum dem Reset-Eingang der ersten Recheneinheit zu- 
gefiihrt ist. 

Die Beschaltung des ersten logischen UND - Gatters der Steu- 
ereinheit ist derart, dass der zweite Rucksetzer die erste 
Recheneinheit durch Ausgabe eines Reset-Signals zurticksetzt, 
wenn die zweite Pulszahlvergleichereinheit eine unzulassige 



WO 2004/043737 




PCT7DE2003/003737 



5 

Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal des ers- 
ten UND - Gatters erkennt. 

Die Beschaltung des zweiten logischen UND - Gatters ergibt 
sich analog aus der Beschaltung des ersten logischen UND - 
Gatters , wenn man die erste Recheneinheit durch die zweite 
Recheneinheit ersetzt und ebenso die erste gegen die zweite 
Pulszahlvergleichereinheit, den ersten Rticksetzer gegen den 
zweiten Rucksetzer und den Reset-Eingang der ersten Rechen- 
einheit gegen den Reset-Eingang der zweiten Recheneinheit. 

Folglich ist die Beschaltung des zweiten UND - Gatters der- 
art, dass der erste Rucksetzer die zweite Recheneinheit durch 
die Ausgabe eines Reset-Signals zurticksetzt , wenn die erste 
Pulszahlvergleichereinheit eine unzulassige Anzahl von Pulsen 
pro Zeiteinheit im Ausgangssignal des zweiten UND - Gatters 
erkennt . 

Als Pulszahlvergleichereinheit einer Recheneinheit der erfin- 
dungsgemafien Steuereinheit wird im Zusammenhang vorliegend 
beschriebener Erfindung eine Funktionseinheit bezeichnet, die 
beispielsweise eine Anzahl von High - Pegeln pro Zeiteinheit 
einer Pulsfolge zahlt und mit einem vorher festgelegten Ver- 
gleichswert vergleicht. In Abhangigkeit von diesem Vergleich 
kann die Pulszahlvergleichereinheit unterschiedliche Steuer- 
signale ausgeben. 

Selbstverstandlich konnte eine Pulszahlvergleichereinheit al- 
ternativ auch eine Anzahl von Low - Pegeln oder eine Anzahl 
von Pegelwechseln pro Zeiteinheit einer Pulsfolge zahlen. 

In einer vorteilhaf ten Weiterbildung weist die Steuereinheit 
ein erstes und ein zweites logisches ODER - Gatter auf , wobei 
das zweite ODER - Gatter eingangsseitig mit dem Ausgang des 
zweiten Rucksetzers und ausgangsseitig mit dem Reset-Eingang 
der ersten Recheneinheit verbunden ist und entsprechend das 
erste ODER - Gatter eingangsseitig mit dem ersten Rucksetzer 
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und ausgangsseitig mit dem Reset-Eingang der zweiten Rechen- 
einheit verbunden ist. Dies bietet den Vorteil, dass einem 
jeweils weiteren Eingang der logischen ODER - Gatter weitere 
Reset-Signale anderer Schaltungsteile der Steuereinheit zuge- 
5 ftihrt werden konnen, so dass eine Recheneinheit nicht allein 
durch die Entscheidung der jeweils anderen Recheneinheit zu- 
ruckgesetzt werden kann, sondern auch durch eine weitere Ent- 
scheidung einer weiteren Funktionseinheit der Steuereinheit. 

10 In einer weiteren vorteilhaf ten Ausf iihrungsf orm ist der erste 
Rticksetzer der ersten Recheneinheit oder der zweite Rtickset- 
zer der zweiten Recheneinheit mit einem Reset-Eingang der 
Ausloseeinheit verbunden. So kann der erste Rticksetzer bzw. 
der zweite Rticksetzer bei einer f estgestellten Fehlfunktion 

15 der zweiten bzw. ersten Recheneinheit nicht nur die jeweils 
andere Recheneinheit zurticksetzen, sondern auch die Auslose- 
einheit. Dies bietet eine zusatzliche Sicherheit hinsichtlich 
einer korrekten Funktionsweise des Insassenschutzsystems, da 
bei einer Fehlfunktion zumindest einer der beiden Rechenein- 

20 heiten auch sicher die Ausloseeinheit abgeschaltet wird. Da- 
durch wird eine moglicherweise gefShrliche Ausl6sung des In- 
sassenschutzmittels sicher verhindert. 

Ein besonders hohes Mali an Sicherheit besitzt die Steuerein- 
25 heit folglich vor allem auch dann, wenn beide Rticksetzer der 
Recheneinheit mit einem Reset-Eingang der Ausloseeinheit ver- 
bunden sind, so dass beide Recheneinheiten ggf . die Auslose- 
einheit zurucksetzen konnen. Weiterhin von Vorteil ist es da- 
bei, wenn die Steuereinheit ein drittes logisches ODER - Gat- 
30 ter aufweist, das eingangsseitig die Signale der Rticksetzer 
beider Recheneinheiten empfangt und ausgangsseitig mit dem 
Reset-Eingang der Ausloseeinheit verbunden ist. 

In einer weiteren vorteilhaf ten Ausf iihrungsf orm der Erfindung 
35 weist die Steuereinheit ein drittes UND - Gatter auf, dem 

eingangsseitig die Taktsignale der ersten und der zweiten Re- 
cheneinheit zugeftihrt sind und dessen Signalausgang sowohl 
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der ersten als auch der zweiten Pulszahlvergleichereinheit 
der ersten bzw. zweiten Recheneinheit zugefiihrt sind. Stellt 
die erste bzw. die zweite Pulszahlvergleichereinheit ein feh- 
lerhaftes Ausgangssignal des dritten UND - Gatters fest, so 
5 meldet sie die StSrung an den ihr jeweils zugeordneten Riick- 
setzer, der die jeweils andere Recheneinheit und ggf . auch 
die Ausloseeinheit zuriicksetzt. 

Weiterhin ist es von Vorteil, wenn die Steuereinheit eine so- 
ld genannte erste watchdog - Schaltung aufweist. Dafur ist ein 

erster watchdog - Eingang der AuslSseeinheit mit einem watch- 
dog - Ausgang der ersten Recheneinheit verbunden und ein Re- 
cheneinheitsrticksetzungsausgang der Ausloseeinheit direkt o- 
der mittelbar mit der ersten Recheneinheit. Stellt die Auslo- 
15 seeinheit einen Fehler im watchdog - Signal des watchdog - 

Ausgangs der ersten Recheneinheit fest f so gibt die Auslose- 
einheit ein Recheneinheitsrucksetzungssignal direkt oder mit- 
telbar an die erste Recheneinheit aus . Eine solche redundante 
Sicherheitsschaltung in Form einer ersten watchdog - Schal- 
20 tung erhoht zusStzlich die sichere Abschaltung einer fehler- 
haft arbeitenden ersten Recheneinheit innerhalb der Steuer- 
einheit des Insassenschutzsystems . 

Eine analoge zweite watchdog - Schaltung fur die Rucksetzung 
25 einer fehlerhaften zweiten Recheneinheit durch die Ausl6se- 
einheit bringt zusatzliche Sicherheit, vor allem dann, wenn 
die zweite Recheneinheit gleichberechtigt zum Funktionieren 
des Sicherheitssystems beitragt. 

30 Ein zur Losung der Aufgabe geeignetes Verfahren ist im unab- 
hangigen Patentanspruch 7 angegeben. 

Das erfindungsgemafie Verfahren dient zur Oberwachung der ord- 
nungsgemafien Funktion einer erf indungsgemaiien Steuereinheit 
35 zur Auslosung eines Insassenschutzmittels in einem Kraftfahr- 
zeug. Der Ablauf eines solchen erf indungsgemafien Verfahrens 
ist anhand der weiter oben in ihrem f unktionellen Zusammen- 
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hang erlSuterten Merkmale einer erf indungsgemaiien Vorrichtung 
bereits ausreichend beschrieben. Urn an dieser Stelle Wieder- 
holungen zu vermeiden, soli hier nur auf die erf indungsgema- 
iien Verfahrensmerkmale eingegangen werden, die uber den Rah- 
men des bereits Geschilderten hinausgehen. 

Zum Beispiel ist es unerheblich fur ein erf indungsgemafies 
Verfahren, auf welche Art die Taktsignale der beiden Rechen- 
einheiten und der Ausloseeinheit zu verschiedentlich mitein- 
ander logisch verkmipften Signalen kombiniert werden. Bei der 
oben beschriebenen erf indungsgemafien Vorrichtung wird eine 
solche logische Verknupf ungsf unktion tiber logische Und - Gat- 
ter erreicht, die - wie auch die ebenfalls offenbarten Oder - 
Gatter - sowohl als elektrische Bauelemente ausgestaltet sein 
konnen, aber auch als Programmablauf e innerhalb eines Mikro- 
prozessors. Entscheidend fur ein erf indungsgemafies Verfahren 
ist es vielmehr, dass eine logische Verknupfung der genannten 
Taktsignale so erfolgt, dass eine Pulsfolge erzeugt wird, die 
nachfolgend durch Zahlen der Einzelpulse und Vergleichen des 
ermittelten Werts mit einem Sollwert insofern bewertet werden 
kann, ob eine der getakteten Funktionseinheiten der sie ent- 
haltenden Steuereinheit f unktionsgerecht arbeitet oder nicht. 

Vorteilhafterweise werden die als fehlerhaft identif izierten 
Funktionseinheiten dabei zumindest einmal zuruckgesetzt , da- 
mit einer fehlerhaft arbeitenden Funktionseinheit der Steuer- 
einheit durch einen Neustart Gelegenheit gegeben wird, einen 
vorgesehenen Betriebszustand zu erreichen. Kann ein solcher 
ordnungsgemafier Betriebszustand nach einem einmaligen oder 
mehrmaligen Zurucksetzen der Funktionseinheit nicht herbeige- 
fiihrt werden, so wird zumindest der fehlerhafte Teil des 
Steuergerats deaktiviert und, falls moglich, durch eine ande- 
re Funktionseinheit des Steuergerats ersetzt. Ggf . wird die 
gesamte Steuereinheit deaktiviert. 

Die teilweise oder vollstSndige Deaktivierung des Steuerge- 
rats des Insassenschutzsystems wird dann einem Fahrzeuginsas- 
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sen entsprechend angezeigt, beispielsweise durch das Auf- 
leuchten einer Warnlampe, iiblicherweise in der Fahrzeugarma- 
tur. 

Im Folgenden wird die Erfindung anhand von mehreren Ausfuh- 
rungsbeispielen beschrieben. 

Es zeigen: 

Figur 1 eine erf indungsgemafle Steuereinheit mit zwei UND - 
Gattern (AND1, AND2) , 

Figur 2 eine erf indungsgemafle Steuereinheit mit drei UND - 
Gattern (AND1, AND2, AND3) , 

Figur 3 ein schematisches Lauf zeitdiagramm der Taktsignale 
(clkl, clk2, clk3) der ersten und der zweiten Re- 
cheneinheit (Rl, R2) sowie der Ausloseeinheit (AE) 
und den daraus zusammengesetzten Taktsignalen 
(clkl3, clk23, clkl2) am Ausgang des ersten, 
zweiten und dritten UND - Gatters (AND1, AND2, 
AND3) , 

Figur 4 ein schematisches Lauf zeitdiagramm der Taktsignale 
(clkl, clk2) der ersten und der zweiten Rechenein- 
heit (Rl, R2) und des zugehorigen Ausgangssignals 
(clkl2) des dritten UND - Gatters (AND3) bei syn- 
chroner Taktung der beiden Recheneinheiten (Rl, R2) 
und 

Figur 5 eine schematische Entscheidungsmatrix zur Zurtick- 
setzung der Recheneinheiten (Rl, R2) oder der Aus- 
16seeinheit (AE) einer erf indungsgemaJJen Steuerein- 
heit. 

Figur 1 zeigt eine erf indungsgemalie Steuereinheit mit einer 
ersten und zweiten Recheneinheit Rl, R2 und einer AuslSseein- 
heit AE sowie einem ersten und einem zweiten UND - Gatter 
AND1, AND2 und einem ersten, zweiten und dritten ODER - Gat- 
ter OR1, OR2, OR3. 



WO 2004/043737 



'CTYDE2003/003737 



10 

Dem ersten Signaleingang des ersten UND - Gatters AND1 ist 
das Taktsignal clkl der ersten Recheneinheit Rl zugeftihrt. 
Dem zweiten Signaleingang des ersten UND - Gatters AND1 ist 
das Taktsignal clk3der Ausloseeinheit AE zugeftihrt. Am Sig- 
5 nalausgang des ersten UND - Gatters AND1 liegt ein logisches 
Summensignal clkl3 der beiden eingangsseitig zugeftihrten 
Taktsignale clkl und clk3 vor, das einer Pulszahlvergleiche- 
reinheit PZVE2 der zweiten Recheneinheit R2 zugeftihrt wird. 
Der Signalausgang der zweiten Pulszahlvergleichereinheit 

10 PZVE2 ist mit einem zweiten Riicksetzer RES2 innerhalb der 
zweiten Recheneinheit R2 verbunden. Der zweite Riicksetzer 
RES2 ist ausgangsseitig mit einem Signaleingang des zweiten 
ODER - Gatters OR2 verbunden. Der Signalausgang des zweiten 
ODER - Gatters OR2 wiederum ist mit dem ersten Reset-Eingang 

15 RESET1 der ersten Rechnereinheit Rl verbunden. 

Analog zur Beschaltung des ersten UND - Gatters AND1 ist auch 
das zweite UND - Gatter beschaltet. Dem ersten Signaleingang 
des zweiten UND - Gatters AND2 ist das Taktsignal clk2 der 

20 zweiten Recheneinheit R2 zugeftihrt, seinem zweiten Signalein- 
gang ebenfalls das Taktsignal clk3 der Ausloseeinheit AE. Das 
Ausgangssignal clk23 des zweiten logischen UND - Gatters AND2 
ist ein logisches Summensignal der beiden eingangsseitig zu- 
gefuhrten Taktsignale clk2 und clk3 und ist der ersten Puis- 

25 zahlvergleichereinheit PZVE1 der ersten Recheneinheit Rl zu- 
geftihrt. Die erste Pulszahlvergleichereinheit PZVE1 ftihrt ein 
Ausgangssignal zum ersten Rticksetzer RES1, der ausgangsseitig 
mit dem Signaleingang des ersten ODER - Gatters 0R1 verbunden 
ist. Der Signalausgang des ersten ODER - Gatters OR1 ist dem 

30 Reset-Eingang RESET2 der zweiten Recheneinheit R2 zugeftihrt. 

Ein jeweils zweiter Signalausgang des ersten Rticksetzers RES1 
bzw. des zweiten Rticksetzers RES2 ist mit jeweils einem Sig- 
naleingang eines dritten ODER - Gatters OR3 verbunden. Der 
35 Signalausgang des dritten ODER - Gatters OR3 ist mit einem 
Reset-Eingang RESETAE der Ausloseeinheit AE verbunden. 
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Des Weiteren ist von einem watchdog - Ausgang WD1 der ersten 
Recheneinheit Rl ein erstes watchdog - Signal wdl einem ers- 
ten watchdog - Eingang AE1 der Ausloseeinheit AE zugeftihrt. 
Analog ist auch ein zweites watchdog - Signal wd2 von einem 
5 zweiten watchdog - Ausgang WD2 der zweiten Recheneinheit R2 
einem zweiten watchdog - Eingang AE2 der AuslSseeinheit AE 
zugef tlhrt . 

Schlieftlich ist noch ein Recheneinheitsriicksetzungsausgang 
10 SAE der Ausloseeinheit AE mit den jeweils zweiten Signalein- 
gSLngen des ersten ODER - Gatters OR1 und des zweiten ODER - 
Gatters OR 2 verbunden. 

Die in der Figur 1 dargestellte Schaltung f unktioniert wie 
15 folgt: 

Das erste UND - Gatter AND1 erzeugt ausgangsseitig ein modi- 
fiziertes Taktsignal clkl3 aus den beiden eingangsseitig zu- 
gefuhrten Taktsignalen der ersten Recheneinheit clkl und des 

20 Taktsignals der Ausloseeinheit clk3. Wie in Figur 3 darge- 
stellt weist das Ausgangssignal clkl3 des ersten UND - Gat- 
ters AND1 nur dann einen logischen High - Pegel auf, wenn die 
eingangsseitig zugefuhrten Taktsignale clkl und clk3 gleich- 
zeitig ebenfalls einen logischen High - Pegel aufweisen. Da 

25 im dargestellten Ausf iihrungsbeispiel der Figur 3 das Taktsig- 
nal clkl der ersten Recheneinheit Rl mit einer Taktfrequenz 
von beispielsweise 1 kHz eine wesentlich groliere Taktperiode 
als das Taktsignal clk3 der Ausloseeinheit AE mit einer Takt- 
frequenz von beispielsweise 50 kHz besitzt, weist das modifi- 

30 zierte Taktsignal clkl3 eine wiederkehrende Pulsfolge mit ei- 
ner Periode des ersten Taktsignals clkl auf, mit Einzelpulsen 
innerhalb der Pulsfolgen mit einer Periodizitat des Taktsig- 
nals clk3 der Ausloseeinheit AE. 

35 Je nach Verschiebung der Taktperioden der beiden Taktsignale 
clkl und clk3 zueinander weist das Ausgangssignal clkl3 des 
ersten UND - Gatters AND1 eine feste Anzahl von Einzelpulsen 
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pro Periodendauer auf . Im Beispiel der Figur 3 weist das 
Takt signal clkl3 beispielsweise zwischen 4 9 und 50 High - Pe- 
gel - Pulse pro Pulsfolgen - Periodendauer auf. 

5 Bei synchroner Taktung der beiden Taktsignale clkl und clk3 
ware die Anzahl der Einzelpulse innerhalb einer Pulsfolge pro 
Zeiteinheit immer gleich. Ein entsprechender Fall ist bei- 
spielsweise in der Figur 4 fur die beiden Taktsignale clkl 
und clk2 mit Taktf requenzen von beispielsweise 1 kHz bzw. 2 
10 kHz dargestellt. 

Die zweite Pulszahlvergleichereinheit PZVE2 der zweiten Re- 
cheneinheit R2 zahlt die Anzahl von Einzelpulsen im Ausgangs- 
signal clkl3 des ersten UND - Gatters AND1 und vergleicht 

15 diesen Wert mit einem Vergleichswert , der in der zweiten Re- 
cheneinheit R2 hinterlegt ist, beispielsweise in einem RAM - 
Speicher. Weicht die ermittelte Anzahl von Pulsen im Aus- 
gangssignal clkl3 des ersten UND - Gatters ANDl von diesem 
gespeicherten Wert in unzulSssiger Weise ab, so aktiviert die 

20 zweite Pulszahlvergleichereinheit PZVE2 den zweiten Ruckset- 
zer RES2, der ein zweites Reset-Signal sr2 Uber das zweite 
ODER - Gatter OR2 an den Reset-Eingang RESET1 der ersten Re- 
cheneinheit Rl ausgibt. Dadurch wird die erste Recheneinheit 
Rl elektrisch zuruckgesetzt . 

25 

In dem gezeigten Ausf uhrungsbeispiel der Figur 1 kann wahl- 
weise gleichzeitig der zweite RUcksetzer RES2 ein weiteres 
Rucksetzungssignal sae2 uber das dritte ODER - Gatter OR3 an 
die Ausloseeinheit AE weitergeben, wodurch auch die Auslose- 
30 einheit AE in ihren elektrischen Ausgangszustand zuruckge- 
setzt wird. 

Im zuruckgesetzten Zustand kann ein an die Ausloseeinheit AE 
angeschlossene Insassenschutzmittel weder gesteuert durch die 
35 erste Recheneinheit Rl noch aktiviert durch die Ausloseein- 
heit AE ausgelost werden. 
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Nach dem Zurttcksetzen der ersten Recheneinheit Rl und der 
Ausiaseeinheit AE durchlaufen beide einen Funktionshochlauf , 
wahrend dessen die voile Funktionalitat der beiden Funktions 
einheiten Rl und AE innerhalb des Steuergerats des Insassen- 
schutzmittels wieder vollstandig hergestellt wird. Erst nach 
erfolgtem und erf olgreichem Funktionshochlauf beider Funkti- 
onseinheiten Rl und AE kann das an die Ausloseeinheit AE an- 
geschlossene Insassenschutzraittel ggf. wieder ausgelost wer- 
den. 



Stellt allerdings die zweite Pulszahlvergleichereinheit PZVE2 
der zweiten Recheneinheit R2 wiederum eine Fehlfunktion ent- 
weder der ersten Recheneinheit Rl oder der Ausloseeinheit AE 
anhand des Ausgangssignals clkl3 des ersten UND - Gatters 
AND1 fest, so werden die beiden Funktions einheiten Rl und AE 
abermals zuruckgesetzt oder auf Dauer deaktiviert. 

Eine dauerhafte Deaktivierung der ersten Recheneinheit Rl ci- 
der der Ausloseeinheit AE des Insassenschutzmittels wird da- 
bei tiblicherweise dem Fahrzeughalter durch eine sogenannte 
Airbagwarnlampe in der Fahrzeugarmatur angezeigt. 

Die Funktionsweise der Beschaltung des zweiten UND - Gatters 
AND2 ergibt sich vSllig analog aus der Funktion der Beschal- 
tung des ersten UND - Gatters AND1: 

Das zweite UND - Gatter AND2 erzeugt ausgangsseitig ein modi- 
fiziertes Takt signal clk23 aus den beiden eingangsseitig zu- 
gefiihrten Taktsignalen clk2 der zweiten Recheneinheit R2 und 
des Taktsignals clk3 der Ausloseeinheit AE. Wie im Falle des 
ersten UND - Gatters AND1 weist das Ausgangssignal clk23 des 
zweiten UND - Gatters AND2 nur dann einen logischen High- 
Pegel auf, wenn die eingangsseitig zugeftthrten Taktsignale 
clk2 und clk3 auch gleichzeitig einen logischen High-Pegel 
aufweisen. Oblicherweise ist auch hier die Periode des zwei- 
ten Taktsignals clk2 kleiner als die Periode des Taktsignals 
clk3 der Ausloseeinheit AE. Deshalb treten auch im Ausgangs- 
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signal des zweiten UND - Gatters clk23 Pulsfolgen auf, die 
mit der langsameren Periode des Taktsignals der zweiten Re- 
cheneinheit clk2 moduliert sind und je nach Periodenverschie- 
bung der beiden zusammengef \igten Taktsignale clk2 und clk3 
eine in einem engen Toleranzrahmen feste Anzahl von Einzel- 
pulsen pro Zeiteinheit aufweisen. 

Die erste Pulszahlvergleichereinheit PZVE1 der ersten Rechen- 
einheit Rl zahlt die Anzahl von Einzelpulsen im Ausgangssig- 
nal clk23 des zweiten UND - Gatters AND2 und vergleicht den 
ermittelten Wert mit einem weiteren Vergleichswert, der in 
der ersten Recheneinheit Rl hinterlegt wurde, beispielsweise 
in einem Ramspeicher . Weicht die ermittelte Anzahl von Pulsen 
im Ausgangssignal clk23 des zweiten UND - Gatters AND2 von 
diesem weiteren Vergleichswert ab f so aktiviert in diesem 
Fall die erste Pulszahlvergleichereinheit PZVE1 den ersten 
Rucksetzer RES1, der ein Reset-Signal srl uber das erste ODER 
- Gatter OR1 an den Reseteingang RESET2 der zweiten Rechen- 
einheit R2 ausgibt. Dadurch wird die zweite Recheneinheit R2 
durch die erste Recheneinheit Rl elektrisch zuruckgesetzt . 

In dem gezeigten Ausf iihrungsbeispiel der Figur 1 kann eben- 
falls gleichzeitig der erste Rucksetzer RES1 ein Rtickset- 
zungssignal sael Qber das dritte ODER - Gatter OR3 an die 
25 Ausloseeinheit AE weitergeben, wodurch auch die Ausloseein- 
heit AE in ihren elektrischen Ausgangszustand zuruckgesetzt 
wird. 

Im Ubrigen gilt im gezeigten Ausf iihrungsbeispiel der Figur 1 
30 fur das Zurticksetzen der zweiten Recheneinheit R2 und der 

Ausl6seeinheit AE durch den ersten- Rucksetzer RES1 und einen 
dadurch veranlassten erneuten Funktionshochlauf dieser beiden 
Funktionseinheiten in vollig analoger Weise das fur das Zu- 
riicksetzen der ersten Recheneinheit Rl und der Ausloseeinheit 
35 AE durch den zweiten Rucksetzer RES2 und den dadurch veran- 
lassten erneuten Funktionshochlauf der ersten Recheneinheit 
Rl und der Ausl6seeinheit AE bereits beschriebene . 
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Entsprechend wird auch eine dauerhafte Deaktivierung der ers- 
ten Recheneinheit Rl oder der Ausloseeinheit AE des Insassen- 
schutzmittels dabei dem Fahrzeughalter durch eine sog. Air- 
bagwarnlampe in der Fahrzeugarmatur angezeigt. 

Um die Sicherheit im Erkennen moglicher Fehlfunktionen des 
Steuergerates des Insassenschutzmittels weiter zu erhdhen, 
ist in der dargestellten erf indungsgemaflen Steuereinheit eine 
zusatzliche Fun kt ion saber wachung der ersten Recheneinheit Rl 
durch die. Ausloseeinheit AE mit Hilfe einer sogenannten ers- 
ten watchdog - Schaltung WDS1 realisiert: 

Die erste Recheneinheit Rl gibt dabei in periodischen Zeitab- 
standen ein erstes watchdog - Signal wdl an die Ausldseein- 
heit AE aus. Beim Ausbleiben des erwarteten watchdog - Sig- 
nals wdl am watchdog - Signaleingang AE1 gibt die Ausldseein- 
heit AE ein Recheneinheitsrticksetzungssignal sae von ihrem 
Signalausgang SAE an den zweiten Signaleingang sowohl der 
ersten ODER - Einheit OR1 als auch der zweiten ODER - Einheit 
OR2 aus, wodurch sowohl die erste Recheneinheit Rl uber den 
ersten Reset-Eingang RESET1 als auch die zweite Recheneinheit 
R2 tiber den zweiten Reset-Eingang RESET2 zurtickgesetzt wird. 

Alternativ kann auch eine Schaltungsanordnung verwendet wer- 
den, bei der der Signalausgang SAE der Ausloseeinheit AE 
nicht mit dem zweiten Signaleingang der ersten ODER - Einheit 
OR1 verbunden ist. Folglich gibt die AuslSseeinheit AE dann 
das Recheneinheitsriicksetzungssignal sae lediglich an den 
zweiten Signaleingang der zweiten ODER - Einheit OR2, so dass 
so dass im Fehlerfall der ersten watchdog-Schaltung WDS1 nur 
die erste Recheneinheit Rl tiber den ersten Reset-Eingang 
RESET1 zurtickgesetzt wird. 



In jedem Fall konnen durch die erste watchdog - Schaltung 
WDS1 ggf . zusatzliche Fehler in der ersten Recheneinheit Rl 
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erkannt werden, die dem Ausgangssignal clkl3 des ersten UND - 
Gatters AND1 nicht entnommen werden konnen. 

In entsprechender Weise wie im Falle der ersten Recheneinheit 
5 Rl eine Oberwachung durch die erste watchdog-Schaltung WDS1 
erfolgt wird in Figur 1 auch die zweite Recheneinheit R2 von 
der Ausloseeinheit AE durch eine zweite watchdog - Schaltung 
WDS2 uber eine Verbindung des zweiten watchdog - Ausgangs WD2 
mit einem zweiten watchdog - Eingang AE2 der Ausloseeinheit 

10 AE und unter Zuhilf enahme eines periodischen watchdog - Sig- 
nals wd2 iiberwacht. Analog zur ersten watchdog-Schaltung WDS1 
setzt die Ausloseeinheit AE im Falle der zweiten watchdog- 
Schaltung WDS2 der Figur 1 bei einem unzulassigen watchdog- 
Signal wd2 die zweite Recheneinheit R2 als auch die erste Re- 

15 cheneinheit Rl durch das Recheneinheitsriicksetzungssignal sae 
zurttck, 

Alternativ ist jedoch auch eine Schaltungsanordnung denkbar, 
bei der der Signalausgang SAE der Ausloseeinheit AE nicht wie 

20 in der Figur 1 gezeigt mit beiden Oder - Gattern OR1 und OR2 
verbunden ist, sondern nur mit dem zweiten Signaleingang der 
ersten ODER - Einheit OR1. Folglich gibt dann die Ausloseein- 
heit AE das Recheneinheitsrticksetzungssignal sae lediglich an 
den zweiten Signaleingang der ersten ODER - Einheit OR1 aus, 

25 so dass im Fehlerfall der zweiten watchdog-Schaltung WDS2 nur 
die zweite Recheneinheit R2 uber den zweiten Reset-Eingang 
RESET2 zuruckgesetzt wird. 

Auch die zweite watchdog - Schaltung WDS2 kann auf diese Wei- 
30 se ggf . Fehler der zweiten Recheneinheit R2 erkennen, die dem 
Ausgangssignal clk23 des zweiten UND - Gatters AND2 nicht 
entnommen werden kdnnen* 

Bei ein- oder mehrmaligem Zurilcksetzen mindestens einer der 
35 beiden Recheneinheiten Rl oder R2 durch mindestens eine der 

beiden watchdog-Schaltungen WDS1 und WDS2 wird eine Warnlampe 
im Fahrzeuginneren als Hinweis auf eine mogliche Fehlfunktion 
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der Steuereinheit fur das Insassenschutzsystem an den Fahr- 
zeughalter aktiviert. 



Wie im gezeigten Beispiel der Figur 1 kSnnen die beiden 
watchdog - Schaltungen WDS1 und WDS2 gleichzeitig verwendet 
werden. Es ist aber ebenso moglich, nur eine der beiden 
watchdog - Schaltungen WDS1 oder WDS2 innerhalb der erfin- 
dungsgemaJien Steuereinheit vorzusehen, die jeweils aber der- 
art verschaltet ist, dass sie mindestens eine der beiden Re- 
cheneinheiten Rl und R2 und wahlweise auch die Ausloseeinheit 
AE zurticksetzen kann. 



Figur 2 zeigt die erf indungsgemaile Steuereinheit aus Figur 1, 
jedoch erweitert um ein drittes UND - Gatter AND3 . Dem drit- 
ten UND - Gatter AND3 sind eingangsseitig die Taktsignale 
clkl und clk2 der ersten Recheneinheit Rl und der zweiten Re- 
cheneinheit R2 zugeftihrt. Am Signalausgang des dritten UND - 
Gatters AND3 liegt ein logisches Summensignal clk23 der bei- 
den Taktsignale clkl und clk2 der beiden Recheneinheiten Rl 
und R2 vor, das einem jeweils zweiten Signaleingang der ers- 
ten Pulszahlvergleichereinheit PZVE1 und der zweiten Puls- 
zahlvergleichereinheit PZVE2 zugefuhrt wird. Der jeweilige 
Signalausgang der ersten bzw. zweiten Pulszahlvergleicherein- 
heit PZVE1 bzw. PZVE2 ist mit dem ersten Riicksetzer RES1 bzw. 
dem zweiten RQcksetzer RES2 verbunden. 

Ein erstes Ausgangs signal srl des ersten Rttcksetzers RES1 der 
ersten Recheneinheit Rl wird einem Eingang der ersten ODER - 
Einheit OR1 zugeftihrt. Der Signalausgang der ersten ODER - 
Einheit OR1 ist mit dem zweiten Reseteingang RESET2 verbun- 
den, wie bereits weiter oben erwahnt. Analog ist ein Signal- 
ausgang sr2 des zweiten Riicksetzers RES2 der zweiten Rechen- 
einheit R2 mit einem Signaleingang des zweiten ODER - Gat- 
ters OR2 verbunden. Der Signalausgang des zweiten ODER - Gat- 
ters OR2 ist mit dem ersten Reseteingang RESET1 der ersten 
Recheneinheit Rl verbunden, wie ebenfalls bereits weiter oben 
beschrieben. 
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Das Ausgangssignal des dritten UND - Gatters clkl2 wird in 
ganz ahnlicher Weise ausgewertet wie die beiden Ausgangssig- 
nale der beiden anderen UND - Gatter AND1 und AND2 : 

Die erste Pulszahlvergleichereinheit PZVE1 zahlt die Anzahl 
der empfangenen Pulse im Ausgangssignal clkl2 des dritten UND 
- Gatters AND3 und vergleicht die Anzahl der empfangenen Pul- 
se pro Zeiteinheit mit einem vorher festgelegten Wert, der 
beispielsweise in einem Ramspeicher der ersten Recheneinheit 
Rl gespeichert ist. Weicht dieser Wert tiber ein vorher fest- 
gelegtes zulassiges Hochstmafl hinaus von dem gespeicherten 
Wert ab, so aktiviert die erste Pulszahlvergleichereinheit 
PZVE1 den ersten Rticksetzer RES1, der die zweite Rechenein- 
heit Rl mittelbar tiber das erste ODER - Gatter OR1 zurtick- 
setzt • 

Ebenso ermittelt die zweite Pulszahlvergleichereinheit PZVE2 
die Anzahl der empfangenen Pulse im Ausgangssignal clkl2 des 
dritten UND - Gatters AND3 und gibt bei einer als unzulassig 
erkannten Anzahl von Einzelpulsen pro Zeiteinheit die Akti- 
vierung des zweiten Rticksetzers RES2 frei, der daraufhin die 
erste Recheneinheit Rl mittelbar tiber das zweite ODER - Gat- 
ter OR2 zuriicksetzt. 

Gleichzeitig mit dem Zurucksetzen der ersten Recheneinheit Rl 
Oder der zweiten Recheneinheit R2 kann im Ausf uhrungsbeispiel 
der Figur 2 tiber das dritte ODER - Gatter OR3 ein Zuruckset- 
zen der Ausloseeinheit AE veranlasst werden. 

Durch Hinzufugen des dritten UND - Gatters AND3 konnen sich 
die Recheneinheiten Rl und R2 folglich gegenseitig zuriickset- 
zen, wenn mindestens eines der Taktsignale einer der beiden 
Recheneinheiten Rl oder R2 gestort ist, Im Gegensatz zu einem 
Zurucksetzen mindestens einer der beiden Recheneinheiten Rl 
oder R2 und wahlweise auch der Ausloseeinheit AE aufgrund der 
Signale clkl3 und clk23 des ersten UND - Gatters AND1 und des 
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zweiten UND - Gatters AND2 kann also durch die Auswertung des 
Ausgangssignals clkl2 des dritten UND - Gatters AND3 vollig 
unabhangig von dem Taktsignal clk3 der Ausloseeinheit AE ein 
Zurucksetzen der Recheneinheiten Rl und R2 und vorzugsweise 
5 auch der Ausloseeinheit AE erfolgen. 

Figur 5 zeigt zusammengef asst eine mogliche Entscheidungsmat- 
rix, nach der die beiden Recheneinheiten Rl, R2 und die Aus- 
loseeinheit AE der erf indungsgemaiien Steuereinheit nach Figur 
10 2 zurtickgesetzt werden konnen: 

Eine in die Matrix eingetragene Null bedeutet eine ordnungs- 
gemafie Funktionsweise der Taktsignale clkl, clk2, clk3 / der 
logisch UND-verknupften Taktsignale clkl3, clkl2, clk23 und 

15 auch eine ordnungsgemafie Funktionsweise der ersten Rechenein- 
heit Rl, der zweiten Recheneinheit R2 und der Ausloseeinheit 
AE. Ein in die Entscheidungsmatrix eingetragenes X bedeutet 
im Gegensatz dazu ein fehlerhaftes Taktsignal clkl, clk2, 
clk3 Oder ein fehlerhaftes zusammengesetztes Taktsignal 

20 clkl3, clkl2 und clk23, bzw. ein fehlerhaftes Funktionieren 
der ersten Recheneinheit Rl, der zweiten Recheneinheit R2 o- 
der der Ausloseeinheit AE. 

Die in den letzten drei Zeilen eingetragenen Pfeile zeigen 
25 mit ihren Spitzen auf diejenigen Recheneinheiten Rl und R2 o- 
der auf die AuslSseeinheit AE, die von der Recheneinheiten Rl 
oder R2 bzw. von der Ausloseeinheit AE am Ausgangspunkt des 
Pfeils zurtickgesetzt wird. 

30 Die Spalten der Entscheidungsmatrix der Figur 5 sind demnach 
f olgendermalSen zu- lesen: 

In der Spalte 1 funktionieren alle Taktsignale clkl, clk2, 
clk3, clkl3, clkl2 und clk23 ordnungsgemaB, da auch die be- 
35 teiligten Recheneinheiten Rl, R2 und die Ausloseeinheit AE 
ordnungsgemaJi arbeiten. 
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In der zweiten Spalte ist ein fehlerhaftes Taktsignal clk3 
der Ausloseeinheit AE eingetragen. Folglich sind auch die 
kombinierten Taktsignale clkl3 und clk23 fehlerhaft. Die ord- 
nungsgemaB f unktionierende erste Recheneinheit Rl, aber auch 
5 die ordnungsgemaB f unktionierende zweite Recheneinheit setzen 
in diesem Fall die fehlerhafte Ausloseeinheit AE zuruck. 

In der dritten Spalte ist das Taktsignal clk2 der zweiten Re- 
cheneinheit R2 fehlerhaft. Folglich sind auch die daraus ab- 

10 geleiteten Taktsignale clkl2 und clk23 fehlerhaft. In dieser 
Konstellation wiirde die ordnungsgemaB f unktionierende erste 
Recheneinheit Rl die fehlerhafte Recheneinheit R2 zuruckset- 
zen. Die Ausloseeinheit AE funktioniert in diesem Fall zwar 
fehlerfrei, doch konnte sie aufgrund der in der Figur 2 ge- 

15 zeigten Schaltungsanordnung iiber das dritte UND - Gatter e- 
benfalls durch die erste Recheneinheit Rl zuruckgesetzt wer- 
den. 

In Spalte 4 funktioniert lediglich die erste Recheneinheit Rl 
20 ordnungsgemaB und setzt folglich die fehlerhafte zweite Re- 
cheneinheit R2 und die fehlerhafte Ausloseeinheit AE zurtick. 

Analog setzt die in Spalte 6 ordnungsgemaB f unktionierende 
zweite Recheneinheit R2 die fehlerhafte erste Recheneinheit 
25 Rl und die fehlerhafte Ausloseeinheit AE zuruck. 

In Spalte 5 funktioniert neben der Ausloseeinheit AE auch die 
zweite Recheneinheit R2 bestiiranungsgemafi . Da die Erkennung 
einer fehlerhaft f unktionierenden ersten Recheneinheit Rl 

30 durch die zweite Recheneinheit R2 erf indungsgemaB schneller 

zur Verfiigung steht als die- Riickset zungsfunktion der Auslose- 
einheit AE aufgrund der ersten watchdog - Schaltung WDS1 aus 
der Figur 1 oder 2, setzt die fehlerfrei f unktionierende 
zweite Recheneinheit R2 zunachst die fehlerhafte erste Re- 

35 cheneinheit Rl zuriick und erst in einem zweiten Schritt und 
mittelbar ttber das dritte ODER - Gatter 0R3 wahlweise auch 
die Ausloseeinheit AE. 
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Es bleiben noch die beiden Sonderfalle der Spalten 7 und 8 zu 
erlautern: 

5 Den ersten Sonderfall der Entscheidungsmatrix zeigt Spalte 7. 
Hier arbeitet nur die Ausloseeinheit AE erwartungsgemafi . Ein 
Zurucksetzen der beiden Recheneinheiten Rl und R2 erfolgt 
deshalb aufgrund der beiden watchdog - Schaltungen WDS1 und 
WDS2, tiber die die Ausl6seeinheit AE die Fehlfunktion der 
10 beiden Recheneinheiten Rl und R2 erkennen kann und deshalb 
das Reset - Signal sae zu deren Zurucksetzung ausgibt. 

In Spalte 8 funktioniert keine der Recheneinheiten Rl oder R2 
ordnungsgemafi und ebenso wenig die Ausloseeinheit AE. Dieser 
15 Fehler der Steuereinheit stellt einen Dreif achf ehler dar und 
ist deshalb sehr unwahrscheinlich . Fur diesen Fall kann das 
Verhalten der Schaltung nicht vorhergesagt werden. 
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Patentanspruche 

1. Steuereinheit zur AuslSsung eines Insassenschutzmittels in 
einem Kraf tf ahrzeug, 
5 die eine erste Recheneinheit (Rl) und eine zweite Rechenein- 
heit (R2) umfasst und des Weiteren eine Ausloseeinheit (AE) , 
wobei die erste Recheneinheit (Rl) , die zweite Recheneinheit 
(R2) und die Ausloseeinheit (AE) jeweils asynchron zueinander 
getaktet sind, 
10 dadurch gekennzeichnet , dass 

- die Steuereinheit ein erstes und ein zweites logisches UND 
- Gatter (AND1, AND2) umfasst , 

- die erste Recheneinheit (Rl) der Steuereinheit eine erste 
Pulszahlvergleichereinheit (PZVE1) und einen ersten Ruck- 

15 setzer (RES1) aufweist, 

- die zweite Recheneinheit (R2) der Steuereinheit eine zwei- 
te Pulszahlvergleichereinheit (PZVE2) und einen zweiten 
Rucksetzer (RES2) aufweist, 

- dem ersten logischen UND - Gatter (AND1) eingangsseitig 
20 sowohl das Takt signal (clkl) der ersten Recheneinheit (Rl) 

als auch das Taktsignal (clk3) der Ausloseeinheit (AE) zu- 
gefuhrt ist, 

- ein Ausgang (Clkl3) des ersten logischen UND - Gatters 
(AND1) mit einem Eingang der zweiten Pulszahlvergleiche- 

25 reinheit (PZVE2) verbunden ist, 

- ein Ausgang der zweiten Pulszahlvergleichereinheit (PZVE2) 
mit einem Eingang des zweiten Riicksetzers (RES2) verbunden 
ist, 

- ein Ausgang des zweiten Riicksetzers (RES2) direkt oder 
30 mittelbar mit einem Reset - Eingang (RESET1) der ersten 

Recheneinheit (Rl) verbunden ist, 
und 

- dem zweiten logischen UND - Gatter (AND2) eingangsseitig 
sowohl das Taktsignal (clk2) der zweiten Recheneinheit 

35 (R2) als auch das Taktsignal (clk3) der Ausloseeinheit 

(AE) zugefiihrt ist, 
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- ein Ausgang (Clk23) des zweiten logischen UND - Gatters 
(AND2) mit einem Eingang der ersten Pulszahlvergleiche- 
reinheit (PZVE1) verbunden ist, 

- ein Ausgang der ersten Pulszahlvergleichereinheit (PZVE1) 
mit einem Eingang des ersten Rucksetzers (RES1) verbunden 
ist, 

- ein Ausgang des ersten Rucksetzer (RES1) direkt Oder mit- 
telbar mit einem Reset - Eingang (RESET2) der zweiten Re- 
cheneinheit (R2) verbunden ist, 

so dass 

- der erste Rucksetzer (RES1) die zweite Recheneinheit (R2) 
durch die Ausgabe eines ersten Resetsignals (srl) zurtick- 
setzt, wenn die erste Pulszahlvergleichereinheit (PZVE1) 
eine unzulassige Anzahl von Pulsen pro Zeiteinheit im Aus- 
gangssignal des zweiten UND - Gatters (AND2) erkennt und 

- der zweite Rucksetzer (RES2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) zuruck- 
setzt, wenn die zweite Pulszahlvergleichereinheit (PZVE2) 
eine unzulassige Anzahl von Pulsen pro Zeiteinheit im Aus- 
gangssignal des ersten UND - Gatters (AND1) erkennt. 

2. Steuereinheit nach Anspruch 1, 
dadurch gekennzeichnet, dass 

- die Steuereinheit ein erstes und ein zweites logisches 
25 ODER - Gatter (ORl, 0R2) aufweist, 

- ein Ausgang des zweiten Rticksetzers (RES2) mittelbar uber 
das zweite ODER - Gatter (0R2) mit dem Reset - Eingang 
(RESET1) der ersten Recheneinheit (Rl) verbunden ist, 

- ein Ausgang des ersten Rucksetzers (RES1) mittelbar tiber 
30 das erste ODER - Gatter (ORl) mit dem Reset - Eingang 

(RESET2) der zweiten Recheneinheit (R2) verbunden ist, 
so dass 

- der erste Riicksetzer (RES1) die zweite Recheneinheit (R2) 
durch die Ausgabe eines ersten Resetsignals (srl) mittel- 

35 bar tiber das erste ODER - Gatter (ORl) zurticksetzt , wenn 

die erste Pulszahlvergleichereinheit (PZVE1) eine unzulas- 
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sige Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal 
(clk23) des zweiten UND - Gatters (AND2) erkennt und 

- der zweite Riicksetzer (RES2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) mittelbar 

5 uber das zweite ODER - Gatter (OR2) zurucksetzt, wenn die 

zweite Pulszahlvergleichereinheit (PZVE2) eine unzulassige 
Anzahl von Pulsen pro Zeiteinheit im Ausgangssignal 
(clkl3) des erst en UND - Gatters (AND1) erkennt. 

10 3. Steuereinheit nach Anspruch 1 oder 2 r 
dadurch g e k e n n z e i c h n e t , dass 

- der erste Riicksetzer (RES1) und/oder der zweite RQcksetzer 
(RES2) mit einem Reset - Eingang (RESETAE) der Ausldseein- 
heit (AE) direkt oder mittelbar verbunden ist, 

15 so dass 

- der erste Rucksetzer (RES1) die Ausloseeinheit (AE) durch 
Ausgabe eines ersten Ausloser - Reset - Signals (sael) zu- 
rucksetzt, wenn die erste Pulszahlvergleichereinheit 
(PZVE1) eine unzulassige Anzahl von Pulsen pro Zeiteinheit 

20 im Ausgangssignal (clk23) des zweiten UND - Gatters (AND2) 

erkennt und/oder 

- der zweite Rticksetzer (RES2) die Ausloseeinheit (AE) durch 
Ausgabe eines zweiten Ausloser - Reset - Signals (sae2) 
zurucksetzt, wenn die zweite Pulszahlvergleichereinheit 

25 (PZVE2) eine unzulassige Anzahl von Pulsen pro Zeiteinheit 

im Ausgangssignal (clkl3) des ersten UND - Gatters (AND1) 
erkennt . 

4. Steuereinheit nach einem der Anspruche 1 bis 3 f 
30 dadurch g e k e n n z e i c h n e t , dass 

- die Steuereinheit ein drittes logisches UND - Gatter 
(AND3) aufweist, 

- dem dritten logischen UND - Gatter (AND3) eingangsseitig 
das Taktsignal (clkl) der ersten Recheneinheit (Rl) und 

35 das Taktsignal (clk2) der zweiten Recheneinheit (R2) zuge- 

fiihrt sind, 
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- das Ausgangssignal (clkl2) des dritten logischen UND - 
Gatters (AND3) sowohl mit einem Eingang der ersten Puls- 
zahlvergleichereinheit (PZVE1) als auch mit einem Eingang 
der zweiten Pulszahlvergleichereinheit (PZVE2) verbunden 
ist, 

so dass 

- der erste Rucksetzer (RES1) die zweite Recheneinheit (R2) 
durch Ausgabe eines ersten Resetsignals (srl) zurucksetzt, 
wenn die erste Pulszahlvergleichereinheit (PZVE1) eine un- 
zuiassige Anzahl von Pulsen pro Zeiteinheit im Ausgangs- 
signal (clkl2) des dritten UND - Gatters (AND3) erkennt 
und 

- der zweite Rucksetzer (RES2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) zuruck- 
setzt, wenn die zweite Pulszahlvergleichereinheit (PZVE2) 
eine unzulSssige Anzahl von Pulsen pro Zeiteinheit im Aus- 
gangssignal (clkl2) des dritten UND - Gatters (AND3) er- 
kennt • 

20 5. Steuereinheit nach einem der vorherigen Ansprtiche, 
dadurch g e k e n n z e i c h n e t , dass 

- ein watchdog - Eingang der Ausloseeinheit (AE1) mit einem 
ersten watchdog - Ausgang (WD1) der ersten Recheneinheit 
(Rl) verbunden ist, 

25 - ein Recheneinheitsrucksetzungsausgang (SAE) ■ der Auslose- 
einheit direkt oder mittelbar uber das zweite ODER - Gat- 
ter (OR2) mit dem Reset eingang (RESET1) der ersten Rechen- 
einheit (Rl) verbunden ist, 
so dass 

30 die Ausl5seeinheit (AE) ein Recheneinheitsrucksetzungssignal 
(sae) direkt oder mittelbar iiber das zweite ODER - Gatter 
(OR2) an den Reset - Eingang (RESET1) der erste Recheneinheit 
(Rl) ausgibt, wenn die Ausloseeinheit (AE) ein unzulassiges 
watchdog - Signal (wdl) vom ersten Oberwachungsausgang (WD1) 

35 empfangt. 



6. Steuereinheit nach einem der vorherigen Ansprtiche, 
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d a d u r c h gekennzeichnet , dass 

- ein Signaleingang der Ausloseeinheit (AE) mit einem zwei- 
ten watchdog - Ausgang (WD2) der zweiten Recheneinheit 
(R2) verbunden ist, 

- der Recheneinheitsriicksetzungsausgang (SAE) der Ausldse- 
einheit (AE) direkt Oder mittelbar uber das erste ODER - 
Gatter (OR1) mit dem Reset - Eingang (RESET2) der zweiten 
Recheneinheit (R2) verbunden ist, 

so dass 

die AuslSseeinheit (AE) das Recheneinheitsrticksetzungssignal 
(sae) direkt Oder mittelbar iiber das erste ODER - Gatter 
(OR1) an den Reset - Eingang der zweiten Recheneinheit 
(RESET2) ausgibt, wenn die Ausloseeinheit (AE) ein unzulassi- 
ges zweites watchdog - Signal (wd2) vom zweiten watchdog - 
Ausgang (WD2) empfangt. 

7. Verfahren zur Uberwachung der ordnungsgemaBen Funktion ei- 
ner Steuereinheit , vorzugsweise einer Steuereinheit gemafi ei- 
nem der Anspriiche 1 bis 6, 
20 dadurch gekennzeichnet, dass 

aus den beiden Taktsignalen (clkl, clk3) einer ersten Re- 
cheneinheit (Rl) und einer Ausl5seeinheit (AE) durch eine 
erste Logikverknupf ung (AND1) ein erstes verknupftes Sig- 
nal (clkl3) erzeugt wird, 
25 - eine zweite Recheneinheit (R2) wahrend eines Zeitfensters 
die Anzahl von Pulsen des ersten verkntipften Signals 
(clkl3) zahlt, 

die zweite Recheneinheit (R2) die Anzahl der gezahlten 
Pulse mit einem zweiten Referenzwert vergleicht, der im 
30 Speicher der zweiten Recheneinheit (R2) hinterlegt ist und 

- die zweite Recheneinheit (R2) ein Rucksetzungssignal an 
einen ersten Reseteingang (RESETl) der ersten Rechenein- 
heit (Rl) ausgibt, wenn die Anzahl der gezahlten Pulse ii- 
ber ein zulassiges Mafi hinaus von dem zweiten Referenzwert 

35 des Speichers der zweiten Recheneinheit (R2) abweicht. 



8. Verfahren nach Anspruch 7 , 
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dadurch gekennzeichnet , dass 

- aus den beiden Taktsignalen (clk2, clk3) der zweiten Re- 
cheneinheit (R2) und der Ausloseeinheit (AE) durch eine 
zweite Logikverkniipf ung (AND2) ein zweites verknupftes 

5 Signal (clk23) erzeugt wird, 

- die erste Recheneinheit (Rl) wShrend eines Zeitfensters 
die Anzahl von Pulsen des zweiten verkntipften Signals 
(clk23) zahlt, 

- die erste Recheneinheit (Rl) die Anzahl der gezahlten Pul- 
10 se mit einem ersten Referenzwert vergleicht, der im Spei- 

cher der ersten Recheneinheit (Rl) hinterlegt ist und 

- die erste Recheneinheit (Rl) ein Rucksetzungssignal an ei- 
nen zweiten Reseteingang (RESET2) der zweiten Rechenein- 
heit (R2) ausgibt, wenn die Anzahl der gezShlten Pulse ti- 

15 ber ein zulSssiges Mali hinaus von dem ersten Referenzwert 

abweicht . 

9. Verfahren nach einem der Ansprtiche 7 oder 8, 
dadurch gekennzeichnet, dass 

20 - die erste Recheneinheit (Rl) die Ausl6seeinheit (AE) durch 
Ausgabe eines ersten Ausloser - Reset - Signals (sael) zu- 
riicksetzt, wenn die erste Recheneinheit (Rl) eine unzulas- 
sige Anzahl von Pulsen pro Zeiteinheit im zweiten ver- 
kntipften Signal (clk23) erkennt und/oder 

25 - die zweite Recheneinheit (R2) die Ausloseeinheit (AE) 
durch Ausgabe eines zweiten AuslQser - Reset - Signals 
(sae2) zuracksetzt, wenn die zweite Recheneinheit (R2)eine 

_ unzulassige Anzahl von Pulsen pro Zeiteinheit im ersten 

verknUpften Signal (clkl3) erkennt. 

30 

10, Verfahren nach einem der Anspriiche 7 bis 9, 
dadurch gekennzeichnet, dass 

- aus den beiden Taktsignalen (clkl, clk2) der ersten Re- 
cheneinheit (Rl) und der zweiten Recheneinheit (R2) durch 

35 eine dritte Logikverkniipf ung (AND3) ein drittes verknupf- 

tes Signal (clkl2) erzeugt wird, 
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sowohl die erste Recheneinheit (Rl) als auch die zweite 
Recheneinheit (R2) wShrend eines Zeitfensters die Anzahl 
von Pulsen des dritten verkniipften Signals (clk!2) zahlt, 
sowohl die erste Recheneinheit (Rl) als auch die zweite 
Recheneinheit (R2) die Anzahl der gezahlten Pulse mit je 
einem Referenzwert vergleicht, der im Speicher der ersten 
Recheneinheit (Rl) bzw. im Speicher der zweiten Rechenein- 
heit (R2) hinterlegt ist, 

die erste Recheneinheit (Rl) die zweite Recheneinheit (R2) 
durch Ausgabe eines ersten Resetsignals (srl) zurucksetzt, 
wenn die erste Recheneinheit (Rl) eine unzulassige Anzahl 
von Pulsen pro Zeiteinheit im dritten verkniipften Signal 
(clkl2) durch den Vergleich mit dem jeweiligen Referenz- 
wert erkennt und 

die zweite Recheneinheit (R2) die erste Recheneinheit (Rl) 
durch Ausgabe eines zweiten Resetsignals (sr2) zuruck- 
setzt, wenn die zweite Recheneinheit (R2) eine unzulassige 
Anzahl von Pulsen pro Zeiteinheit im dritten verkniipften 
Signal (clkl2) durch den Vergleich mit dem jeweiligen Re- 
ferenzwert erkennt . 

11. Verfahren nach einem der Anspruche 8 bis 10, 
dadurch gekennzeichnet , dass 

- einem ersten Oberwachungseingang (AE1) der Ausloseeinheit 
25 (AE) ein erstes watchdog - Signal (wdl) von einem ersten 

Oberwachungsausgang (WD1) der ersten Recheneinheit (Rl) 
zugefuhrt wird und daraufhin 

- ein Recheneinheit sriicksetzungsausgang (SAE) der Auslose- 
einheit (AE) ein Recheneinheitsriicksetzungssignal (sae) an 

30 den ersten Reset - Eingang (RESETl) der ersten Rechenein- 

heit (Rl) ausgibt, wenn das erste watchdog - Signal (wdl) 
unzulassig ist 
und/oder 

- einem zweiten Oberwachungseingang (AE2) der Ausloseeinheit 
35 (AE) ein zweites watchdog ~ Signal (wd2) vom zweiten Ober- 
wachungsausgang (WD2) der zweiten Recheneinheit (R2) zuge- 
filhrt wird und daraufhin 
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- der Recheneinheitsrucksetzungsausgang (SAE) der Auslose- 
einheit (AE) das Recheneinheitsriicksetzungssignal (sae) an 
den zweiten Reset - Eingang (RESET2) der zweiten Rechen- 
einheit (R2) ausgibt, wenn das zweite watchdog - Signal 



12 Verfahren nach einem der Anspruche 7 bis 11, 
gekennzeichnet dadurch, dass 

eine der beiden Recheneinheiten (Rl, R2) der Steuereinheit 
10 eine's Insassenschutzsystems eines Kraf tf ahrzeuges nach ein - 
Oder mehrmaligem Rucksetzen der jeweils anderen Recheneinheit 
(Rl, R2) oder der Ausloseeinheit (AE) das Insassenschutzsys- 
tem zumindest teilweise deaktiviert und/oder dem Fahrzeugin- 
sassen die Fehlfunktionen der Steuereinheit und die zumindest 
15 teilweise Deaktivierung des Insassenschutzmittels anzeigt. 



5 



(wd2) unzulassig ist. 
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